Et subdomæne bliver oprettet til et formål, men ikke altid slettet, når formålet forsvinder. Tjenesten lukkes, kampagnen slutter, leverandøren skiftes ud, mens navnet i DNS fortsat peger et sted hen. Når en penetrationstest melder om glemte subdomæner, handler det derfor om ansvar og nedlukning mere end om teknik. Rettelsen kan være enkel, men den forudsætter, at nogen ved, hvem der ejer zonen, og hvad navnet var til.
Fundet kan optræde med lav eller middel alvorlighed, men det kan vægtes højt, hvis navnet peger på en ressource hos en cloududbyder, som I ikke længere råder over. Den forskel er værd at forstå, før fundet lægges i bunken med småting.
Hvad rapporten konstaterer
Fundene i denne gruppe ligner hinanden, men betyder forskellige ting. Læs dem hver for sig.
- Navnet peger på intet · posten findes, men svarer ikke. Det er mest et tegn på manglende oprydning.
- Navnet peger på et gammelt system · tjenesten kører stadig, men ingen bruger eller vedligeholder den.
- Navnet peger på en ressource, I har opgivet · adressen eller tjenesten hos en udbyder tilhører ikke længere jer.
- Navnet afslører interne forhold · navne på testmiljøer, interne systemer eller leverandører, som ikke behøver at være offentlige.
Det andet og tredje punkt er de alvorlige. Et gammelt system, der stadig svarer, bliver måske ikke opdateret og indgår ikke i nogens overvågning. Et navn, der peger på en ressource, I har opgivet hos en cloududbyder, kan i visse tilfælde komme under en andens kontrol. Så kan en fremmed vise indhold under jeres domæne, og besøgende vil have svært ved at se forskel.
Hvorfor det betyder mere end det ser ud til
Microsoft beskriver i sin dokumentation om såkaldte dinglende DNS-poster, hvordan et navn, der peger på en nedlagt ressource, kan give en anden kontrol over indholdet på jeres underdomæne. Konsekvenserne, der nævnes, er blandt andet tab af kontrol over indhold, misbrug til phishing i jeres navn og risiko for, at oplysninger, som jeres egne løsninger sender til navnet, ender hos andre.
For IT-afdelingen er pointen, at alvorligheden afhænger af, hvad navnet peger på, og hvad jeres øvrige systemer stoler på. Et underdomæne, som andre løsninger deler login eller cookies med, er mere følsomt end et isoleret kampagnenavn. Spørg testeren, hvilken af de to situationer fundet beskriver, hvis rapporten ikke siger det klart. → Typiske fund i en ekstern test
Hvem ejer oprydningen?
Det er her, fundet kan strande. DNS-zonen kan administreres af IT, af et webbureau, af registratoren eller af en tidligere driftsleverandør. Navnet kan være oprettet af en afdeling, der ikke længere husker hvorfor. Før noget kan rettes, skal tre ting afklares:
- Hvem administrerer zonen · og har I selv adgang til at ændre den?
- Hvem oprettede navnet · og bruges det stadig til noget?
- Hvem ejer målet · tjenesten, adressen eller cloudressourcen, som navnet peger på?
Læg fundet ind i opgavesystemet med disse spørgsmål som en del af beskrivelsen. Så bliver det ikke liggende, fordi ingen ved, hvor det hører hjemme. → Fra fund til ticket
Et tænkt eksempel: rapporten nævner et navn, der hed noget med webinar og pegede på en tjeneste hos en cloududbyder. Marketing brugte det for to sæsoner siden, et bureau satte det op, og zonen administreres af registratoren under en konto, som en tidligere kollega oprettede. Ingen af de tre parter føler sig ansvarlig. Her er det IT-afdelingens opgave at samle trådene, få adgang til zonen og skrive ned, hvem der fremover godkender nye navne. Uden det bliver selve sletningen en engangsrettelse, og samme slags fund vil stå i næste rapport.
Rettelsen på begrebsniveau
Selve rettelsen kan være at fjerne posten eller lade den pege på en ressource, I selv råder over. Navne, der stadig er i brug, men afslører for meget, kan omdøbes, når det passer ind i en planlagt ændring.
Ved navne, der har peget på en opgivet ressource, er det fornuftigt at spørge, om nogen kan have brugt navnet i mellemtiden. Microsoft anbefaler at undersøge, om der er sket kompromittering, og håndtere det efter jeres egen procedure for hændelser. Det er ikke en del af testen, men en opgave for jer, hvis fundet giver anledning til tvivl.
Fundet kan høre til de hurtige rettelser, men kun hvis ejerskabet er afklaret. → Hurtige rettelser
Undgå, at det sker igen
Glemte navne er et symptom på en nedlukning uden tjekliste. Den varige rettelse er en proces, ikke en enkelt sletning.
- Nedlukningen · fjernelse af DNS-poster står fast på listen, når en tjeneste lukkes, sammen med firewallregler og certifikater.
- Oprettelsen · nye navne registreres med ejer og formål, så de kan genkendes senere.
- Den faste gennemgang · zonerne gennemgås med jævne mellemrum, og navne uden svar eller ejer markeres.
- Leverandørerne · bureauer og leverandører, der opretter navne, skal melde det til IT og melde, når de ikke længere bruges.
Løbende scanning af jeres egne navne kan fange de poster, der er sluppet igennem, mellem testene. → Scanning mellem testene
Det skal I lade være med
- At afvise fundet som kosmetisk · se først, hvad navnet peger på.
- At slette i blinde · afklar, om navnet bruges, før posten fjernes, ellers kan en kørende tjeneste falde ud.
- At lade fundet ligge uden ejer · zonens administrator, navnets opretter og målets ejer skal kendes.
- At glemme tvivlsspørgsmålet · har navnet peget på en opgivet ressource, så overvej, om det kan være misbrugt.
- At rette uden at ændre processen · uden en fast nedlukning dukker fundet op igen ved næste test.
Hvad kan og ikke kan konkluderes
Et fund om glemte subdomæner viser, at nedlukning og registrering af navne ikke har fungeret fuldt ud for de domæner, testen dækkede. Det kan påvise, at et navn peger på noget, I ikke kontrollerer, og dermed udgør en risiko for jeres omdømme og brugere.
Fundet siger ikke, om navnet faktisk er blevet misbrugt. Det siger heller ikke noget om domæner, der ikke var med i testen. Har virksomheden domæner hos flere registratorer eller i flere zoner, skal I selv sikre, at alle er gennemgået. → Overblik over jeres internetvendte systemer
Tjekliste til oprydningen
- ☐ Er hvert fundet navn klassificeret: dødt, gammelt system, opgivet ressource eller afslørende?
- ☐ Er zonens administrator, navnets opretter og målets ejer kendt?
- ☐ Er det kontrolleret, at navnet ikke bruges, før det fjernes?
- ☐ Er der taget stilling til mulig misbrug ved opgivne ressourcer?
- ☐ Står DNS fast på tjeklisten ved nedlukning af tjenester?
- ☐ Er leverandører og bureauer forpligtet til at melde nye og ubrugte navne?
- ☐ Er det aftalt, hvor ofte zonerne gennemgås?
Kilder
- Microsoft Learn: Prevent dangling DNS entries and avoid subdomain takeover: risikoen ved DNS-poster, der peger på nedlagte ressourcer, og anbefalinger om oprydning, nedlukning og undersøgelse af mulig kompromittering.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Overblik over jeres internetvendte systemer · Hurtige rettelser
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
